Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /F /IM charles.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Winabler.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\evb5.tmp
- %TEMP%\evb4.tmp
- %TEMP%\evb3.tmp
- %TEMP%\72584896.~ph
- %TEMP%\devels\053c91e85297b872324f38be622132d2.phpe2
- %TEMP%\devels\053c91e85297b872324f38be622132d2\include.php
- %TEMP%\devels\053c91e85297b872324f38be622132d2\engine.php
- %TEMP%\evb2.tmp
- %TEMP%\PSE11\php\modules\php_curl.dll
- %TEMP%\PSE11\php\php5ts.dll
- %TEMP%\PSE11\053C91E85297B872324F38BE622132D2\php.ini
- %TEMP%\PSE11\php\modules\php_osinfo.dll
- %TEMP%\evb1.tmp
- %TEMP%\PSE11\php\modules\php_bz2.dll
- %TEMP%\PSE11\php\modules\php_bcompiler.dll
Удаляет следующие файлы:
- %TEMP%\72584896.~ph
- %TEMP%\PSE11\053C91E85297B872324F38BE622132D2\php.ini
Сетевая активность:
Подключается к:
- 'st#####454541233.esy.es':80
TCP:
Запросы HTTP GET:
- st#####454541233.esy.es/key.txt
UDP:
- DNS ASK st#####454541233.esy.es
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
